La fonction `IsSafeURL` de gomarkdown/markdown peut provoquer un panic lorsqu’elle traite une URL de moins de trois octets; avec `html.Safelink`, une destination vide ou très courte peut ainsi entraîner un déni de service. Les versions antérieures au correctif sont concernées; mettre à jour vers la version indiquée.
Source : GHSA-cv23-7vc5-jfh7 — gomarkdown/markdown IsSafeURL panics on short URLs
Analyse technique
La fonction découpe le préfixe de l’URL avant de vérifier que sa longueur est suffisante, ce qui déclenche un panic pour des entrées courtes. Le chemin de rendu Markdown décrit requiert l’activation de `html.Safelink`; l’appel direct à `IsSafeURL` est également concerné.
Impact, versions et correctif
Action recommandée
Mettre à jour vers 0.0.0-20260724235538-61af6e1e6971 ou une version ultérieure; à défaut, éviter de traiter des entrées Markdown non fiables avec `html.Safelink`.
Sources
Priorisation DFS : P3 · 1 source(s).